王盛邦, 韋寶典
(中山大學(xué)計(jì)算機(jī)學(xué)院,廣州510006)
網(wǎng)絡(luò)空間被稱為“第五空間”,網(wǎng)絡(luò)空間安全不僅僅是學(xué)術(shù)界的事情,也關(guān)乎國(guó)計(jì)民生。習(xí)近平總書記指出:“沒有網(wǎng)絡(luò)安全就沒有國(guó)家安全”[1],網(wǎng)絡(luò)空間安全是國(guó)家安全的重要基石??倳泴?duì)網(wǎng)絡(luò)安全人才培養(yǎng)問題高度重視,并指出“網(wǎng)絡(luò)空間的競(jìng)爭(zhēng),歸根結(jié)底是人才競(jìng)爭(zhēng)”[2]。目前,我國(guó)網(wǎng)絡(luò)安全人才主要來(lái)源于高校專業(yè)培養(yǎng),人才產(chǎn)出與社會(huì)需求差距巨大,難以應(yīng)對(duì)日趨嚴(yán)峻的網(wǎng)絡(luò)空間安全形勢(shì)。2016年,教育部將“網(wǎng)絡(luò)空間安全”增設(shè)為一級(jí)學(xué)科,為“網(wǎng)絡(luò)空間安全”學(xué)科的教育與發(fā)展注入了強(qiáng)心針。特別在“新基建”浪潮下,網(wǎng)絡(luò)安全迎來(lái)新一輪發(fā)展動(dòng)力[3]。網(wǎng)絡(luò)安全是“新基建”的重要內(nèi)涵,是未來(lái)“新基建”的堅(jiān)實(shí)保障[4-5]。
在眾多利好政策的推動(dòng)下,許多高校加強(qiáng)了與網(wǎng)絡(luò)安全相關(guān)課程的教學(xué)和改革,學(xué)科建設(shè)得到空前發(fā)展。移動(dòng)網(wǎng)絡(luò)已經(jīng)滲透到社會(huì)的方方面面,同時(shí)也面臨著越來(lái)越多的各類惡意攻擊和挑戰(zhàn),安全威脅層出不窮,加強(qiáng)相應(yīng)網(wǎng)管安全人才培養(yǎng)十分迫切。為此,我校于2016年起新開設(shè)移動(dòng)網(wǎng)絡(luò)安全技術(shù)課程,經(jīng)過(guò)幾年建設(shè)和改革,已初見成效。
移動(dòng)網(wǎng)絡(luò)安全課程是交叉學(xué)科新課程,覆蓋廣泛的知識(shí)面,對(duì)任課老師、修課學(xué)生的綜合能力要求都很高,其先導(dǎo)課程包括通信技術(shù)、操作系統(tǒng)、計(jì)算機(jī)網(wǎng)絡(luò)、密碼學(xué)、信息安全和電子商務(wù)等。首先要確定課程綱要,限于課時(shí),將教學(xué)內(nèi)容精選為無(wú)線網(wǎng)絡(luò)技術(shù)、WiFi身份認(rèn)證技術(shù)、移動(dòng)網(wǎng)絡(luò)技術(shù)、移動(dòng)終端操作系統(tǒng)安全、移動(dòng)應(yīng)用安全等。由于該課程學(xué)生來(lái)自多個(gè)不同計(jì)算機(jī)類專業(yè),存在一定專業(yè)差異,為此增加網(wǎng)絡(luò)安全應(yīng)用基礎(chǔ)內(nèi)容,主要學(xué)習(xí)網(wǎng)絡(luò)安全協(xié)議、協(xié)議分析、滲透測(cè)試技術(shù)等,為學(xué)生后續(xù)學(xué)習(xí)打好專業(yè)提升基礎(chǔ)。
課程建設(shè)的目標(biāo)是面向綜合實(shí)踐能力的培養(yǎng),以綜合運(yùn)用知識(shí)、發(fā)現(xiàn)問題、解決問題為出發(fā)點(diǎn),以創(chuàng)新能力和實(shí)戰(zhàn)能力培養(yǎng)為目標(biāo)。發(fā)現(xiàn)問題、解決問題的能力可歸結(jié)為“綜合能力”,借助線上教學(xué)輔助平臺(tái),線上/線下相結(jié)合,基于此構(gòu)建的移動(dòng)網(wǎng)絡(luò)安全技術(shù)實(shí)驗(yàn)教學(xué)體系架構(gòu)如圖1所示。
圖1 移動(dòng)網(wǎng)絡(luò)安全實(shí)驗(yàn)教學(xué)體系架構(gòu)
將培養(yǎng)過(guò)程劃分為基礎(chǔ)能力、綜合能力、實(shí)戰(zhàn)能力和創(chuàng)新能力4個(gè)層次?;A(chǔ)能力強(qiáng)調(diào)移動(dòng)網(wǎng)絡(luò)安全滲透測(cè)試基本能力的運(yùn)用;綜合能力是核心,強(qiáng)調(diào)綜合運(yùn)用所學(xué)知識(shí)發(fā)現(xiàn)問題(如安全隱患、漏洞等)、解決問題(消除隱患、安全防御)的能力;實(shí)戰(zhàn)能力要求具備在錯(cuò)綜復(fù)雜的網(wǎng)絡(luò)環(huán)境中的安全處置能力,能消除安全隱患,切實(shí)解決實(shí)際問題。而創(chuàng)新能力要求能發(fā)現(xiàn)新問題,或發(fā)現(xiàn)解決問題的新方法或新途徑。4個(gè)層次之間循序漸進(jìn),綜合能力的培養(yǎng)逐次提升。
根據(jù)教學(xué)內(nèi)容開展移動(dòng)網(wǎng)絡(luò)安全的實(shí)踐,對(duì)應(yīng)于教學(xué)的4個(gè)目標(biāo),在傳統(tǒng)設(shè)計(jì)型、綜合型和研究型實(shí)驗(yàn)的基礎(chǔ)上,為加強(qiáng)培養(yǎng)學(xué)生實(shí)戰(zhàn)能力,特增設(shè)專業(yè)型實(shí)驗(yàn),依次將實(shí)踐類型劃分為設(shè)計(jì)型、綜合型、專業(yè)型和研究型實(shí)驗(yàn),難度由基礎(chǔ)(如網(wǎng)絡(luò)安全應(yīng)用設(shè)計(jì))到高端(如Android App逆向分析),依次推進(jìn)。
開展深度學(xué)習(xí),教師發(fā)揮幫助引導(dǎo)作用,學(xué)生全身心參與綜合性、挑戰(zhàn)性實(shí)驗(yàn)。而任務(wù)驅(qū)動(dòng)可以實(shí)現(xiàn)從基礎(chǔ)能力到綜合能力、專業(yè)能力到創(chuàng)新能力的質(zhì)變,有助于提升學(xué)生的專業(yè)綜合素質(zhì)。
為了激發(fā)學(xué)生主觀能動(dòng)性的學(xué)習(xí)探索能力,對(duì)于實(shí)驗(yàn)任務(wù)宏觀指導(dǎo)是必要的,但應(yīng)避免因過(guò)于細(xì)節(jié)化。實(shí)驗(yàn)前學(xué)生要廣泛閱讀教材、課件和相關(guān)文獻(xiàn)資料,拓寬知識(shí)視野。對(duì)于經(jīng)學(xué)生“上下求索”仍難以獨(dú)立解決的問題,可以尋求老師進(jìn)行“微觀”指導(dǎo),幫助學(xué)生解決關(guān)鍵問題[7]。
在網(wǎng)絡(luò)(特別是移動(dòng)網(wǎng)絡(luò))廣為普及的今天,借助線上實(shí)驗(yàn)教學(xué)平臺(tái),在網(wǎng)絡(luò)所及之處,學(xué)生可以遠(yuǎn)程進(jìn)行虛擬環(huán)境下的網(wǎng)絡(luò)安全實(shí)驗(yàn)。這樣可突破實(shí)驗(yàn)依賴于傳統(tǒng)實(shí)驗(yàn)室的時(shí)空限制,同時(shí)也促進(jìn)了學(xué)生參與實(shí)驗(yàn)的積極性。
主要考核項(xiàng)包括傳統(tǒng)的實(shí)驗(yàn)報(bào)告文檔、反映實(shí)驗(yàn)過(guò)程的視頻和線上攻防測(cè)試,研究性項(xiàng)(題)目和學(xué)科競(jìng)賽成績(jī)作為參考項(xiàng),主要突出對(duì)課程核心技術(shù)的掌握、應(yīng)用。評(píng)價(jià)的主要參考內(nèi)容見表1。
與傳統(tǒng)課程不同,移動(dòng)網(wǎng)絡(luò)技術(shù)日新月異,更新?lián)Q代非???。如5G還未普及,6G已經(jīng)開始研發(fā);WiFi 6尚未全面推廣,WiFi 7已經(jīng)在應(yīng)用測(cè)試。因而,本課教學(xué)內(nèi)容需要及時(shí)更新,將業(yè)界最新成果介紹給學(xué)生。像目前備受關(guān)注的5G技術(shù)、由于谷歌斷供華為安卓系統(tǒng)而橫空出世的鴻蒙OS[8]、APP安全隱私問題[9]、廣為普及的移動(dòng)支付安全性問題[10],等。
與傳統(tǒng)課程經(jīng)歷常年建設(shè)資源豐富截然不同,本課程在建設(shè)初期面臨教學(xué)資源尤其是實(shí)驗(yàn)資源嚴(yán)重缺乏的難題。經(jīng)過(guò)不斷探索和積累,推出了一系列精心設(shè)計(jì)的實(shí)驗(yàn),其部分如表2所示。這些實(shí)驗(yàn)大多數(shù)是比較完整的滲透測(cè)試實(shí)踐,綜合程度較高。題材上接地氣,融合了先進(jìn)性、探索性、新穎性、趣味性和實(shí)用性等特點(diǎn)。
表2 分層教學(xué)內(nèi)容
以“利用DNS Tunnel繞過(guò)Web Portal認(rèn)證系統(tǒng)”實(shí)驗(yàn)為例,該案例以現(xiàn)實(shí)生活常見的WiFi連接的Web Portal認(rèn)證為切入點(diǎn)[11],要求利用認(rèn)證系統(tǒng)存在的漏洞,建立DNSTunnel[12-13]繞過(guò)認(rèn)證系統(tǒng)而實(shí)現(xiàn)上網(wǎng)。
Web Portal是目前在多數(shù)公共區(qū)域(如地鐵、商場(chǎng)、機(jī)場(chǎng)、賓館等)采用的一種認(rèn)證方式,該認(rèn)證方式的特點(diǎn)是通過(guò)手機(jī)號(hào)碼獲取密碼來(lái)實(shí)現(xiàn)上網(wǎng)。由于這種方式認(rèn)證方有收集手機(jī)號(hào)碼之嫌,用戶有顧慮。這也是本案例企圖繞過(guò)認(rèn)證的原因。如圖2所示是必勝客的Web Portal認(rèn)證頁(yè)面。
圖2 必勝客公司的Web Portal認(rèn)證頁(yè)面
為完成這樣復(fù)雜的綜合性實(shí)驗(yàn),需要部署DNS服務(wù)器,以及申請(qǐng)域名等。為了使學(xué)生免受實(shí)體設(shè)備不足的困擾,引導(dǎo)學(xué)生申請(qǐng)免費(fèi)的云服務(wù)器(如通過(guò)騰訊云),以及域名(每域名只需付費(fèi)1元)部署云端DNS服務(wù)器,然后以Kali-Linux的iodine工具創(chuàng)建DNS隧道,嘗試?yán)寐┒蠢@過(guò)Web Portal認(rèn)證,實(shí)現(xiàn)免認(rèn)證聯(lián)網(wǎng)。實(shí)驗(yàn)結(jié)果證明,的確能通過(guò)DNS隧道繞過(guò)認(rèn)證上網(wǎng),即存在認(rèn)證漏洞,但網(wǎng)速下降明顯。實(shí)際上,利用DNS隧道繞開認(rèn)證上網(wǎng)并非實(shí)驗(yàn)的主要目的,漏洞利用測(cè)試、云端服務(wù)體驗(yàn)更重要。實(shí)驗(yàn)完成后,學(xué)生們真切地知道了漏洞的危害性,而不是停留在“漏洞危害”的概念性“例行介紹”。像這樣的案例,背景具有趣味性、工程性、實(shí)現(xiàn)方法的多樣性,學(xué)生在學(xué)習(xí)中能產(chǎn)生比較強(qiáng)烈的情感共鳴;該案例涉及知識(shí)綜合性高,分析、設(shè)計(jì)相結(jié)合,有利于循著知識(shí)產(chǎn)生的脈絡(luò)去準(zhǔn)確把握問題的本質(zhì),實(shí)現(xiàn)知識(shí)的遷移和應(yīng)用。案例的設(shè)計(jì)思想,充分體現(xiàn)了提升學(xué)生綜合能力的教學(xué)理念。
對(duì)于網(wǎng)絡(luò)安全攻防實(shí)驗(yàn)環(huán)節(jié),普遍存在實(shí)踐場(chǎng)景搭建難等問題。為此,與業(yè)界知名網(wǎng)絡(luò)安全企業(yè)展開合作,引進(jìn)其優(yōu)質(zhì)的線上網(wǎng)絡(luò)安全實(shí)驗(yàn)教學(xué)平臺(tái)(以下簡(jiǎn)稱平臺(tái)),可以解決場(chǎng)景搭建問題。平臺(tái)架構(gòu)如圖3所示。
圖3 在線攻防實(shí)驗(yàn)教學(xué)平臺(tái)架構(gòu)
平臺(tái)采用虛擬化技術(shù)構(gòu)建高度仿真的實(shí)戰(zhàn)環(huán)境,可以進(jìn)行滲透測(cè)試、逆向工程、密碼破解等實(shí)操以及一些攻防對(duì)抗演練。此外還可進(jìn)行考試、解題練習(xí)。如果原生系統(tǒng)題庫(kù)數(shù)量不能滿足需求,可通過(guò)題庫(kù)管理功能,將自行設(shè)計(jì)開發(fā)的題目擴(kuò)充進(jìn)系統(tǒng),達(dá)到自主掌控題材以及題目的難度和考核點(diǎn)的目的。目前已經(jīng)將自行開發(fā)的約30余套題目導(dǎo)入系統(tǒng),豐富了題庫(kù),鞏固了教學(xué)成果。
如何依托教學(xué)輔助平臺(tái)開展實(shí)驗(yàn),以漏洞挖掘利用為例,如臟牛漏洞[14](DirtyCow,CVE-2016-5195)。臟牛漏洞是一個(gè)比較典型的提權(quán)漏洞。一般來(lái)說(shuō),對(duì)于已發(fā)布的漏洞,演練時(shí)需要漏洞復(fù)現(xiàn),但環(huán)境搭建比較復(fù)雜。如果通過(guò)平臺(tái)進(jìn)行漏洞復(fù)現(xiàn),可以節(jié)省配置環(huán)境的時(shí)間,達(dá)到演練的目的。
實(shí)驗(yàn)前,先由老師配置好一個(gè)尚未修復(fù)該漏洞的實(shí)驗(yàn)環(huán)境提交至平臺(tái),等待克隆分發(fā)。實(shí)驗(yàn)時(shí),學(xué)生在平臺(tái)上申請(qǐng)靶機(jī)后,平臺(tái)分發(fā)一個(gè)Docker靶機(jī),該靶機(jī)已經(jīng)配置好了先前提交的預(yù)設(shè)實(shí)驗(yàn)環(huán)境。學(xué)生得到靶機(jī)的SSH賬號(hào),登錄平臺(tái)之后,根據(jù)實(shí)驗(yàn)指引,獲取概念驗(yàn)證(Proof of Concept,POC)并對(duì)漏洞進(jìn)行復(fù)現(xiàn),親身體會(huì)漏洞挖掘利用的流程。整個(gè)過(guò)程中不需要在本地部署環(huán)境。實(shí)驗(yàn)結(jié)束后,平臺(tái)自動(dòng)銷毀靶機(jī)環(huán)境,等待下一次分發(fā)。
該實(shí)驗(yàn)考察了學(xué)生對(duì)操作系統(tǒng)原理(寫時(shí)復(fù)制、條件競(jìng)爭(zhēng)、段頁(yè)式內(nèi)存管理、缺頁(yè)中斷處理、文件系統(tǒng)等)的認(rèn)識(shí),可以引導(dǎo)同學(xué)們對(duì)知識(shí)的融匯貫通,剖析漏洞產(chǎn)生原理,對(duì)漏洞挖掘利用有更深刻的認(rèn)識(shí)。像這樣的實(shí)驗(yàn),平臺(tái)輔助作用優(yōu)勢(shì)明顯。
在網(wǎng)絡(luò)安全人才需求方面,社會(huì)急需的是具有實(shí)戰(zhàn)能力的“專才”。近年,國(guó)內(nèi)外涌現(xiàn)各類網(wǎng)絡(luò)安全學(xué)科競(jìng)賽(如全國(guó)大學(xué)生信息安全競(jìng)賽、紅帽杯等),這些賽事為“專才”們提供了實(shí)戰(zhàn)鍛煉的平臺(tái)。事實(shí)證明,以賽促學(xué)、寓賽以學(xué),是鍛煉、培養(yǎng)和發(fā)現(xiàn)網(wǎng)絡(luò)安全人才的重要途徑,競(jìng)賽對(duì)網(wǎng)絡(luò)空間安全學(xué)科的發(fā)展也起到很好的促進(jìn)作用[15]?;诖?,教學(xué)中注意發(fā)現(xiàn)“苗子”,將能力較為突出、有共同興趣的學(xué)生組織起來(lái),利用在線攻防實(shí)驗(yàn)教學(xué)平臺(tái)進(jìn)行指導(dǎo)和培訓(xùn),并組織他們組隊(duì)參賽,對(duì)獲獎(jiǎng)學(xué)生參照表1“實(shí)驗(yàn)教學(xué)考核依據(jù)”給予適當(dāng)加分或減免實(shí)驗(yàn)次數(shù)的獎(jiǎng)勵(lì)。
網(wǎng)絡(luò)安全問題時(shí)常伴隨“黑客”攻擊的報(bào)道,給大眾的觀感不止是神秘性,而且是具有高深學(xué)問的技術(shù)活。實(shí)驗(yàn)室的網(wǎng)絡(luò)安全實(shí)驗(yàn),實(shí)際上也具有復(fù)雜性和神秘性的特征。之所以要求將實(shí)驗(yàn)過(guò)程拍攝成視頻,是因?yàn)橐曨l能清晰地展現(xiàn)復(fù)雜性,毫無(wú)保留地揭示神秘性。在反映實(shí)驗(yàn)過(guò)程方面,傳統(tǒng)實(shí)驗(yàn)報(bào)告(電子版)通常都是無(wú)聲的、靜態(tài)的,雖然也能呈現(xiàn)對(duì)實(shí)驗(yàn)過(guò)程的描述與分析,但在表現(xiàn)形式上沒有充分運(yùn)用信息技術(shù)手段;而反映實(shí)驗(yàn)過(guò)程的視頻恰恰相反,不但是動(dòng)態(tài)的,而且通過(guò)同步解說(shuō)成為有聲讀物,還可以配上字幕加強(qiáng)效果。個(gè)別難以描述的過(guò)程(所謂“只可意會(huì),不可言傳”),可通過(guò)視頻彌補(bǔ)。實(shí)驗(yàn)視頻對(duì)提升學(xué)生專業(yè)素質(zhì)、拓展教學(xué)的深度和廣度,凸顯學(xué)生綜合設(shè)計(jì)與創(chuàng)新思維的能力很有幫助。
實(shí)驗(yàn)視頻主要由錄屏和少量外拍(利用手機(jī)拍攝功能,如果需要的話)相結(jié)合,錄屏工具有許多(如EV錄屏),視頻裁剪可以采用貍窩全能視頻轉(zhuǎn)換器[16]。學(xué)生經(jīng)短暫學(xué)習(xí)、操作,即能掌握這兩款工具。形成視頻并不難,難的是成為“優(yōu)秀”視頻。雖然無(wú)須像影視劇一樣由名家操刀寫作一個(gè)“劇本”,但也非實(shí)驗(yàn)過(guò)程的簡(jiǎn)單重現(xiàn)。需要有一個(gè)切合實(shí)驗(yàn)的“故事情節(jié)”,妥善合理安排這些情節(jié),才能展現(xiàn)如何通過(guò)技術(shù)手段揭露安全風(fēng)險(xiǎn)的細(xì)節(jié)。
如何展示優(yōu)秀學(xué)生實(shí)驗(yàn),由于綜合性的網(wǎng)絡(luò)安全實(shí)驗(yàn),過(guò)程復(fù)雜曲折,現(xiàn)場(chǎng)操作演示難度大、時(shí)間長(zhǎng),通過(guò)視頻觀摩學(xué)習(xí)是較為理想的選擇。對(duì)于綜合性實(shí)驗(yàn),像“利用DNSTunnel繞過(guò)Web Portal認(rèn)證系統(tǒng)”其視頻成績(jī)分布如圖4所示。由圖可見,視頻優(yōu)秀率并不高,說(shuō)明展示優(yōu)秀實(shí)驗(yàn)視頻具有重要的示范意義。
圖4 利用DNSTunnel繞過(guò)Web Portal認(rèn)證系統(tǒng)實(shí)驗(yàn)視頻成績(jī)分布
優(yōu)秀視頻展示是比較受學(xué)生歡迎的環(huán)節(jié)。通過(guò)觀摩,找出差距,取長(zhǎng)補(bǔ)短,共同進(jìn)步。由于視頻在展示實(shí)驗(yàn)過(guò)程上效果較好,獲得學(xué)生普遍認(rèn)同。
本課程每學(xué)期36學(xué)時(shí),累計(jì)授課學(xué)生數(shù)約800人,根據(jù)對(duì)修讀過(guò)該課程的學(xué)生問卷調(diào)查、實(shí)驗(yàn)作業(yè)批改等渠道分析得出圖5所示的統(tǒng)計(jì)數(shù)據(jù)。
由圖5可見,設(shè)計(jì)型實(shí)驗(yàn)和綜合型實(shí)驗(yàn)的參與度、完成度較高,而專業(yè)型和研究型就差強(qiáng)人意,需要進(jìn)一步改進(jìn);線上實(shí)驗(yàn)因良好的體驗(yàn)方式而受到普遍歡迎,累加式考核方式由于能體現(xiàn)個(gè)人綜合能力程度,也獲高度認(rèn)同。對(duì)于實(shí)驗(yàn)過(guò)程視頻化的要求,開始一些學(xué)生因沒有接觸過(guò)視頻處理,需要一個(gè)接受和熟悉的過(guò)程。在“課后感”中,學(xué)生認(rèn)為,實(shí)驗(yàn)視頻相當(dāng)于一次實(shí)驗(yàn)的總結(jié)與提升,不但拓展了能力,而且有利于確立解決問題的全局觀。該課程在2019年還進(jìn)入廣州大學(xué)城互選課程,有7所兄弟高校約50位學(xué)生跨校、跨專業(yè)修讀了本課程的學(xué)分[17-18]。課程的教學(xué)理念、教學(xué)方法得到推廣和應(yīng)用。
圖5 教學(xué)改革效果統(tǒng)計(jì)
通過(guò)課程學(xué)習(xí),學(xué)生綜合能力提升顯著,在學(xué)生參加網(wǎng)絡(luò)安全競(jìng)賽方面屢獲佳績(jī)。如獲第十二屆全國(guó)大學(xué)生信息安全競(jìng)賽創(chuàng)新實(shí)踐能力賽總決賽一等獎(jiǎng)及“網(wǎng)絡(luò)安全創(chuàng)新單項(xiàng)獎(jiǎng)”、2019年“第五空間”網(wǎng)絡(luò)安全創(chuàng)新能力大賽一等獎(jiǎng)、2019第三屆紅帽杯網(wǎng)絡(luò)安全攻防大賽總決賽冠軍等。
對(duì)移動(dòng)網(wǎng)絡(luò)安全實(shí)驗(yàn)課程的教學(xué)進(jìn)行了研究,構(gòu)建了教學(xué)體系,對(duì)教學(xué)目標(biāo)和內(nèi)容進(jìn)行了分層設(shè)計(jì),同時(shí)借助線上網(wǎng)絡(luò)攻防實(shí)驗(yàn)平臺(tái)輔助教學(xué),教學(xué)內(nèi)容緊跟學(xué)科前沿,與時(shí)俱進(jìn)。通過(guò)教學(xué)改革,整體上教學(xué)效果顯著,學(xué)生實(shí)驗(yàn)的主動(dòng)性和探索能力明顯增強(qiáng),分析設(shè)計(jì)與實(shí)戰(zhàn)能力得到了有效訓(xùn)練和提高,開闊了學(xué)科視野,提升了課程的教學(xué)質(zhì)量。